Release van Chrome 93

Google heeft de release van webbrowser Chrome 93 aangekondigd. Tegelijkertijd is de stabiele versie van het vrije project Chromium beschikbaar, dat de basis vormt voor Chrome. De browser Chrome wordt gekenmerkt door het gebruik van Google-logo's, de aanwezigheid van een systeem voor het verzenden van meldingen bij crashes, modules voor het afspelen van beveiligde videoinhoud (DRM), een automatisch update-installatiesysteem en de overdracht van RLZ-parameters tijdens de zoekopdracht. De volgende release van Chrome 94 is gepland voor 21 september (ontwikkeling is overgeschakeld naar een 4-weken releasecyclus).

Belangrijke wijzigingen in Chrome 93:

• De opmaak van het informatieblok over de pagina (page info) is bijgewerkt, waarbij ondersteuning voor geneste blokken is geïmplementeerd, en de keuzelijsten met toegangsrechten zijn vervangen door schakelaars. In de lijsten wordt de belangrijkste informatie eerst weergegeven. Deze wijziging is niet voor alle gebruikers ingeschakeld; om het te activeren kan de instelling 'chrome://flags/#page-info-version-2-desktop' worden gebruikt.
• Voor een klein percentage gebruikers is als experiment de indicator voor een beveiligde verbinding in de adresbalk vervangen door een neutralere en niet dubbelzinnig te interpreterende symbool (het slot is vervangen door een 'V'). Voor verbindingen die zonder versleuteling zijn ingesteld, blijft de indicator 'niet beveiligd' zichtbaar. De reden voor het vervangen van de indicator is dat veel gebruikers de slotindicator associëren met het vertrouwen in de inhoud van de website, en niet als een teken van versleuteling van de verbinding. Volgens een enquête van Google begrijpt slechts 11% van de gebruikers de betekenis van het sloticoon.
• In de lijst met onlangs gesloten tabbladen wordt de inhoud van gesloten tabbladgroepen weergegeven (vroeger werd in de lijst alleen de naam van de groep zonder detailinformatie getoond), met de mogelijkheid om zowel de hele groep als afzonderlijke tabbladen uit de groep in één keer terug te halen. Deze mogelijkheid is niet voor alle gebruikers geactiveerd, dus om het in te schakelen kan het nodig zijn om de instelling 'chrome://flags/#tab-restore-sub-menus' te wijzigen.
• Voor bedrijven zijn nieuwe instellingen geïmplementeerd: DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites en JavaScriptJitBlockedForSites, waarmee het JIT-less modus kan worden beheerd. Deze modus schakelt de toepassing van JIT-compilatie uit bij het uitvoeren van JavaScript (alleen de Ignition-interpreter wordt gebruikt) en verbiedt het toewijzen van uitvoerbare geheugen tijdens de uitvoering van de code. Het uitschakelen van JIT kan nuttig zijn om de veiligheid bij het werken met potentieel gevaarlijke webapplicaties te verhogen, hoewel dit gepaard gaat met een vermindering van de uitvoeringsprestatie van JavaScript van ongeveer 17%. Opmerkelijk is dat Microsoft nog verder is gegaan en in de Edge-browser een experimentele modus 'Super Duper Secure' heeft geïmplementeerd, waarmee gebruikers JIT kunnen uitschakelen en hardwarebeveiligingsmechanismen die niet compatibel zijn met JIT, zoals CET (Control-flow Enforcement Technology), ACG (Arbitrary Code Guard) en CFG (Control Flow Guard), kunnen activeren voor processen die webinhoud verwerken. Als het experiment succesvol blijkt te zijn, kan verwacht worden dat het wordt overgebracht naar de reguliere versie van Chrome.
• Op de nieuwe tabbladpagina is een lijst van de meest gevraagde documenten die zijn opgeslagen in Google Drive zichtbaar. De inhoud van de lijst komt overeen met de sectie Prioriteit op drive.google.com. Voor het beheren van de weergave-inhoud van Google Drive kunnen de instellingen 'chrome://flags/#ntp-modules' en 'chrome://flags/#ntp-drive-module' worden gebruikt.
• Voor de nieuwe tabbladpagina zijn nieuwe informatieve kaarten aangeboden om recent bekeken inhoud en gerelateerde informatie te vinden. De kaarten zijn ontworpen om het voortzetten van het werk met informatie, waarvan de weergave werd onderbroken, te vergemakkelijken. Bijvoorbeeld, de kaarten helpen bij het vinden van een recept dat onlangs op internet is gevonden, maar verloren is gegaan na het sluiten van de pagina, of bij het voortzetten van de selectie van aankopen in winkels. Ter experimentele doeleinden zijn er twee nieuwe kaarten aangeboden: 'Recepten' (chrome://flags/#ntp-recipe-tasks-module) voor het zoeken naar kookrecepten en het tonen van recent bekeken recepten; 'Aankopen' (chrome://flags/#ntp-chrome-cart-module) voor herinneringen aan geselecteerde producten in webwinkels.
• In de Android-versie is optionele ondersteuning voor de continue zoekbalk toegevoegd (chrome://flags/#continuous-search), waarmee recente zoekresultaten in Google zichtbaar blijven (de balk blijft resultaten tonen nadat u naar andere pagina's bent gegaan).
• De Android-versie heeft een experimentele modus voor het delen van citaten (chrome://flags/#webnotes-stylize) toegevoegd, waarmee een geselecteerd gedeelte van de pagina als citaat kan worden opgeslagen en gedeeld met andere gebruikers.
• Bij het publiceren van nieuwe extensies of updates in de Chrome Web Store is nu verplicht om tweefactorauthenticatie voor ontwikkelaars toe te passen.
• Voor gebruikers met een Google-account is er een optie toegevoegd om betalingsinformatie op hun account in Google op te slaan.
• In incognitomodus, bij het activeren van de optie voor het wissen van browsegegevens, is er een nieuwe bevestigingsdialoog geïmplementeerd die uitlegt dat het wissen van gegevens zal leiden tot het sluiten van het venster en het beëindigen van alle sessies in incognitomodus.
• Door ontdekte incompatibiliteiten met de firmware van sommige apparaten is de ondersteuning voor de in Chrome 91 toegevoegde nieuwe methode voor sleutelovereenkomst, die bestand is tegen aanvallen met kwantumcomputers en is gebaseerd op het gebruik van de TLSv1.3-extensie CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2), tijdelijk uitgeschakeld. Deze methode combineert het klassieke sleuteloverdrachtsmechanisme X25519 met de HRSS-schema dat is gebaseerd op het NTRU Prime-algoritme, ontwikkeld voor post-kwantumcryptosystemen.
• De lijst met geblokkeerde netwerpoorten is uitgebreid met poorten 989 (ftps-data) en 990 (ftps) om de ALPACA-aanval te blokkeren. Eerder waren al poorten 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 en 10080 geblokkeerd ter bescherming tegen de NAT slipstreaming-aanval.
• In TLS is de ondersteuning voor ciphers op basis van het 3DES-algoritme stopgezet. Specifiek is de TLS_RSA_WITH_3DES_EDE_CBC_SHA cipher verwijderd, die kwetsbaar is voor de Sweet32-aanval.
• De ondersteuning voor de Ubuntu 16.04-distributie is beëindigd.
• Het is nu mogelijk om de WebOTP API te gebruiken tussen verschillende apparaten die zijn gekoppeld via hetzelfde Google-account. WebOTP stelt webapplicaties in staat om eenmalige bevestigingscodes te lezen die via SMS worden verzonden. Deze wijziging maakt het mogelijk om een bevestigingscode op een mobiel apparaat met Chrome voor Android te ontvangen en deze op een desktop systeem toe te passen.
• De User-Agent Client Hints API is uitgebreid en wordt ontwikkeld als vervanging voor de User-Agent-header. User-Agent Client Hints maakt het mogelijk om gerichte gegevens over specifieke browser- en systeemparameters (versie, platform, enz.) pas na een verzoek te retourneren. serverDe gebruiker kan op zijn beurt bepalen welke informatie aan website-eigenaren kan worden verstrekt. Bij het gebruik van User-Agent Client Hints wordt de browser-ID niet standaard verzonden zonder een expliciet verzoek; standaard worden alleen basisparameters opgegeven, wat passieve identificatie bemoeilijkt.

  In de nieuwe versie is ondersteuning toegevoegd voor de parameter Sec-CH-UA-Bitness om informatie te retourneren over de bitness van het platform, wat kan worden gebruikt om geoptimaliseerde binaire bestanden te leveren. Standaard wordt de parameter Sec-CH-UA-Platform verzonden met algemene informatie over het platform. In de waarde UADataValues, die wordt teruggegeven bij het aanroepen van getHighEntropyValues(), zijn standaard geaggregeerde parameters geïmplementeerd als een gedetailleerde variant niet kan worden teruggegeven. In het object NavigatorUAData is een methode toJSON toegevoegd, waarmee constructies zoals JSON.stringify(navigator.userAgentData) kunnen worden gebruikt.

• De mogelijkheid om bronnen te verpakken in pakketten in het Web Bundle-formaat is gestabiliseerd en standaard aangeboden, wat geschikt is voor het efficiënter laden van een groot aantal gerelateerde bestanden (CSS-stijlen, JavaScript, afbeeldingen, iframe). Een van de nadelen van de huidige ondersteuning voor pakketten voor JavaScript-bestanden (webpack), die geprobeerd wordt op te lossen in Web Bundle, is dat het pakket zelf in de HTTP-cache kan blijven hangen, maar niet de samenstellende delen; compilatie en uitvoering kunnen pas beginnen na volledige koppeling van het pakket; extra bronnen, zoals CSS en afbeeldingen, moeten worden gecodeerd als JavaScript-strings, wat leidt tot een toename van de grootte en een extra parsing-fase.
• De API WebXR Plane Detection is ingeschakeld, die informatie biedt over vlakke oppervlakken in een virtuele 3D-omgeving. Deze API maakt het mogelijk om zonder resource-intensieve verwerking van gegevens, verkregen via MediaDevices.getUserMedia(), met eigen implementaties van machine vision-algoritmen te werken. Ter herinnering, de API WebXR stelt gebruikers in staat om samen te werken met verschillende klassen van virtual reality-apparaten, van stationaire 3D-headsets tot oplossingen op basis van mobiele apparaten.
• In de Origin Trials-modus (experimentele mogelijkheden die afzonderlijk moeten worden geactiveerd) zijn enkele nieuwe API's toegevoegd. Origin Trial houdt in dat het mogelijk is om met de opgegeven API te werken vanuit applicaties geladen vanaf localhost of 127.0.0.1, of na registratie en het verkrijgen van een speciale token die tijdelijk geldig is voor de specifieke site.
  • De API Multi-Screen Window Placement is voorgesteld, die het mogelijk maakt om vensters op elk scherm te plaatsen dat aan het huidige systeem is verbonden, en ook de positie van het venster op te slaan en het venster indien nodig te maximaliseren. Bijvoorbeeld, met behulp van deze API kan een webapplicatie voor het presenteren van slides de slides op het ene scherm weergeven en de notities voor de presentator op een ander.
  • In de header Cross-Origin-Embedder-Policy, die het Cross-Origin isolatiemodus beheert en regels voor veilig gebruik bij geprivilegieerde operaties op de pagina definieert, is ondersteuning toegevoegd voor de parameter 'credentialless' om de overdracht van informatie met betrekking tot inloggegevens, zoals cookies en clientcertificaten, uit te schakelen.
  • Voor afzonderlijk geïnstalleerde webapplicaties (PWA, Progressive Web Apps), die de inhoud van het venster weergeven en invoer verwerken, is er een overlay met vensterbedieningselementen, zoals een titelbalk en knoppen voor het minimaliseren/maximaliseren van het venster. De overlay vergroot de wijzigbare ruimte naar het volledige venster en maakt het mogelijk om eigen elementen toe te voegen aan de titelbalk.
  • De mogelijkheid is toegevoegd om PWA-applicaties te creëren die kunnen worden gebruikt als URL-handlers. Bijvoorbeeld, de applicatie music.example.com kan zichzelf registreren als handler voor de URL https://*.music.example.com, en alle overgangen vanuit externe applicaties naar deze links, zoals vanuit messenger-apps en e-mailclients, zullen leiden tot het openen van deze PWA-applicaties in plaats van een nieuw tabblad in de browser.
• Er is een mogelijkheid toegevoegd om CSS-bestanden te laden met behulp van de 'import' expressie, vergelijkbaar met het laden van JavaScript-modules, wat handig is bij het creëren van eigen elementen en de noodzaak van het toewijzen van stijlen via JavaScript-code vermijdt. import sheet from './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
• Er is een nieuwe statische methode AbortSignal.abort() geïntroduceerd die een AbortSignal-object retourneert waarvoor de parameter aborted al is ingesteld. In plaats van meerdere regels code voor het maken van een AbortSignal-object in de status aborted, kan nu volstaan worden met één regel: 'return AbortSignal.abort()'.
• In het Flexbox-element is ondersteuning toegevoegd voor de sleutelwoorden start, end, self-start, self-end, left en right, die de sleutelwoorden center, flex-start en flex-end aanvullen met middelen voor eenvoudiger positioneren van flex-elementen.
• In de constructor Error() is een nieuwe optionele eigenschap 'cause' geïmplementeerd, waarmee het eenvoudig wordt om fouten met elkaar te verbinden. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → true
• De eigenschap HTMLMediaElement.controlsList heeft ondersteuning gekregen voor de modus noplaybackrate, waarmee elementen van de gebruikersinterface in de browser voor het wijzigen van de afspeelsnelheid van multimedia-inhoud kunnen worden uitgeschakeld.
• De header Sec-CH-Prefers-Color-Scheme is toegevoegd, waarmee tijdens het verzenden van een verzoek gegevens over de door de gebruiker geprefereerde kleurenschema kunnen worden doorgestuurd, gebruikt in de mediaquery 'prefers-color-scheme', zodat de website de geladen CSS kan optimaliseren die met het gekozen schema is verbonden en zichtbare schakelingen van andere schema's kan vermijden.
• De eigenschap Object.hasOwn is toegevoegd, wat een vereenvoudigde variant is van Object.prototype.hasOwnProperty, geïmplementeerd als een statische methode. Object.hasOwn({ prop: 42 }, ‘prop’) // → true
• In de JIT-compiler Sparkplug, die bedoeld is voor zeer snelle uitvoering van ruwe compilatie, is een modus voor batchuitvoering van bewerkingen toegevoegd, waardoor de overhead van geheugenpagina-wisselingen tussen schrijf- en uitvoeringsmodus kan worden verminderd. Sparkplug compileert nu meerdere functies tegelijk en roept mprotect eenmaal aan om de toegangsrechten van de hele groep te wijzigen. Deze modus vermindert de compiletijd aanzienlijk (tot 44%) zonder negatieve invloed op de prestaties van de uitvoering van JavaScript.
• In de Android-versie zijn de ingebouwde beschermingsmechanismen van de V8-engine tegen aanvalsvectoren via secundaire kanalen, zoals Spectre, uitgeschakeld, omdat ze als minder effectief worden beschouwd dan isolatie van websites in afzonderlijke processen. In de desktopversie waren deze mechanismen al uitgeschakeld in de release van Chrome 70. Het uitschakelen van overbodige controles heeft de prestaties met 2-15% verhoogd.
• Er zijn verbeteringen aangebracht in de tools voor webontwikkeling. In de stijlinspectie modus is er een mogelijkheid toegevoegd om verzoeken te bewerken die zijn gecreëerd met de @container-expressie. In de netwerkinspectiemodus is een voorbeeld van bronnen in Web bundle-formaat gerealiseerd. In de webconsole zijn er opties toegevoegd aan het contextmenu om regels te kopiëren in de vorm van JavaScript- of JSON-literaal. Foutopsporing met betrekking tot CORS (Cross-Origin Resource Sharing) is vereenvoudigd.

Naast nieuwe functies en bugfixes zijn in de nieuwe versie 27 kwetsbaarheden verholpen. Veel van deze kwetsbaarheden zijn ontdekt met behulp van geautomatiseerd testen door middel van tools zoals AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer en AFL. Er zijn geen kritieke problemen vastgesteld die het mogelijk maken om alle beveiligingslagen van de browser te omzeilen en code buiten de sandbox-omgeving uit te voeren. In het kader van het beloningsprogramma voor het ontdekken van kwetsbaarheden heeft Google voor deze release 19 beloningen uitbetaald ter waarde van 136.500 dollar (drie beloningen van $20.000, één beloning van $15.000, drie beloningen van $10.000, één beloning van $7.500, drie beloningen van $5.000 en drie beloningen van $3.000). De omvang van 5 beloningen is voorlopig nog niet vastgesteld.

Bron: opennet.ru